【インシデント速報】2026年8月12日｜ショップサーブ885万件漏えい・ヨネックスに不正アクセス・デジタル庁誤送付
secure【インシデント速報】2026年8月12日｜ショップサーブ885万件漏えい・ヨネックスに不正アクセス・デジタル庁誤送付
ECの構築・決済を外部サービスに預けている店舗は、そのサービスが破られると自店の顧客名簿とクレジットカード情報がまるごと外部に出る。
海外子会社・拠点は本社よりセキュリティが手薄になりやすく、そこが侵入の入り口になる。
ファイルを外部に渡す作業は「手順書のあいまいさ」がそのまま情報漏えいに直結する。渡す前に中身を確認する一手を挟む。
EC構築サービス「ショップサーブ」に不正アクセス、最大約885万件が漏えい
ECサイト構築・ネット通販支援サービス「ショップサーブ」を運営する株式会社Eストアー（BASE子会社）は8月1日、同社サーバーが外部からの不正アクセスを受け、購入者や店舗の情報が漏えいしたと公表した。第三者が2026年5月21日から8月1日にかけて同社サーバー上で不正なプログラムを実行し、情報を外部へ送信していた。
漏えいの可能性がある件数は最大で延べ8,853,839件（約885万件）に上る。対象には、購入者の氏名・住所・電話番号・FAX番号・メールアドレス・勤務先、会員ID・パスワードのほか、クレジットカード情報の一部（カード名義、カード番号の先頭6桁と下4桁、有効期限）が含まれる。加盟店側では、店舗管理画面やFTPの認証情報、振込先口座情報も対象となった。セキュリティコード（CVV／CVC）は同社が保持しておらず、漏えい対象には含まれないとしている。
同社は8月2日に第2報を出し、対象範囲を会員ID・パスワードにまで拡大した。個人情報保護委員会への報告および所轄警察署への届け出を進めている。カード番号の一部と有効期限が出た以上、不正利用の監視対象として扱うべき事案だ。
中小企業への影響
ショップサーブは中小規模のネットショップが多く利用するプラットフォームだ。自店のサーバーやPCが無事でも、構築・決済を委託しているサービスが破られれば、自店の顧客名簿とカード情報が外部に出る。「決済は外部に任せているから安全」ではなく、委託先が攻撃されたときに自店が何をどう告知するかまでが、店舗側の責任範囲になる。
推奨対応
- ショップサーブを利用していれば、管理画面・FTPのパスワードを直ちに変更し、同じパスワードを他サービスで使い回していないか確認する。
- 自店の顧客に、カード明細の確認となりすましメールへの注意を早めに告知し、問い合わせ窓口を明示する。カード会社への連絡先も案内する。
- 自社がEC構築・決済・顧客管理を委託している外部サービスを一覧化し、漏えい時の連絡・告知手順を平時に決めておく。
ヨネックス、台湾子会社が不正アクセスを受け影響範囲を調査中
スポーツ用品大手のヨネックス株式会社（東証スタンダード・証券コード7906）は8月7日、台湾子会社である優乃克股份有限公司（YONEX TAIWAN CO., LTD.）が第三者による不正アクセスを受けたことを確認したと開示した。
同社は被害拡大の防止に必要な措置を講じるとともに、外部の専門家と連携して原因の究明と影響範囲の特定を進めている。現時点で漏えいした情報の具体的な内容や件数は公表されておらず、調査中の段階だ。
中小企業への影響
攻撃を受けたのは本社ではなく海外子会社だ。海外拠点や小さなグループ会社は、本社に比べてセキュリティ対策や監視が手薄になりやすく、そこが侵入の入り口になる。取引先や親会社を狙う「踏み台」にされることもある。自社に海外拠点や別会社、業務委託先がある場合、本社と同じ水準で守れているかを見落としがちな点として押さえておきたい。
推奨対応
- 海外拠点・グループ会社・委託先のVPNやリモート接続について、多要素認証が有効か、不要なアカウントが残っていないかを確認する。
- 拠点ごとにセキュリティ対策の水準を棚卸しし、本社より弱い箇所がないか点検する。
- 子会社・拠点で異常が起きた際、本社へ即座に連絡が上がる報告ルートを決めておく。
デジタル庁、資格管理団体の職員150人分を他省庁に誤送付
デジタル庁は8月7日、「国家資格等情報連携・活用システム」の運用で、各資格管理団体の職員150人分の個人情報が、他省庁へ送付したファイルに誤って含まれていたと公表した。対象となったのは氏名・ユーザーID・所属などで、送付したのは同システムの「ログイン履歴」に関するファイルだった。
発端は7月6日で、ファイルを受け取った省庁の担当者が、本来の送付先の担当課ユーザー以外の個人情報が記載されていることに気づき、デジタル庁に連絡した。原因は運用作業手順書のあいまいな記載で、本来は特定ユーザーのみのログイン履歴を作成すべきところ、他の資格管理団体のユーザーが含まれた状態でファイルが作られていた。外部からの攻撃ではなく、運用手順の不備による人的ミスだ。
中小企業への影響
これは高度な攻撃ではなく、ファイルを外部に渡すときの「絞り込み漏れ」という、どの会社でも起こりうるミスだ。取引先へ送る名簿や見積、請求データに、渡すべきでない他社・他部署の情報が紛れ込む事故は多い。手順書があっても記載があいまいだと、担当者ごとに解釈がぶれて事故につながる。仕組みではなく運用の言葉の詰めが甘いと、同じことが起きる。
推奨対応
- ファイルを外部に送る前に、対象範囲を絞り込めているか送信者本人が中身を目視で確認する一手順を必須化する。
- 名簿や履歴データの抽出手順書を、担当者によって解釈がぶれない具体的な記載に見直す。
- 可能なら、抽出条件や送付先を上長がダブルチェックする体制を、外部提供ファイルに限って設ける。
編集部まとめ
今日の3件は「委託先が破られる」「海外拠点が狙われる」「渡すファイルにミスが混じる」という、自社のサーバーが無事でも起こる漏えいの典型だ。守る対象を自社の中だけで考えず、預け先・拠点・外部に渡すデータまで含めて棚卸しすることが、規模を問わず最初の一歩になる。
